macOS 10.14.3 MojaveまでのmacOSでシステム管理者権限なしにキーチェーンに保存されたパスワードを全て盗むことができ脆弱性「KeySteal」がGitHubで公開。

　macOS 10.14.3 MojaveまでのmacOSでシステム管理者権限を必要とせず、キーチェーンに保存されたパスワードを全て盗むことができ脆弱性「KeySteal」がGitHubで公開されています。詳細は以下から。

　2019年02月、18歳のドイツの学生Linus Henzeさんがシステム管理者権限なしでmacOSのデフォルト・パスワードマネージャーである「Keychain」に保存されたパスワードを全て盗むことができる「KeySteal」脆弱性を発見し、Appleに報奨金を払うよう要求したことが話題になりましたが(以下参照)、

Linusさんは06月、このKeySteal脆弱性をObjective-Seeのセキュリティ研究者Patrick Wardleさんが主催する”Objective by the Sea”で発表し、ソースコードをGitHubで公開したそうです。

KeySteal(CVE-2019-8526)

　Linusさんによると、KeySteal脆弱性は”securityd”の不具合を利用してパスワードプロンプトなしにKeychainへアクセスする「KeySteal Daemon」とインジェクションによる攻撃を行う「KeySteal Client」という構成で、

セキュリティ

• 対象 OS：macOS Sierra 10.12.6、macOS High Sierra 10.13.6、macOS Mojave 10.14.3
• 影響：アプリケーションに、昇格した権限を取得される可能性がある。
• 説明：メモリ管理を強化し、解放済みメモリ使用 (use-after-free) の脆弱性に対処しました。
• CVE-2019-8526：Linus Henze 氏 (pinauten.de)

macOS Mojave 10.14.4のセキュリティコンテンツについて

この2つを利用すればmacOS 10.14.3 Mojave以下のmacOSでシステム管理者権限なしにパスワードを盗むことができるそうなので、興味のある方は試してみてください。

KeySteal is a macOS <= 10.14.3 Keychain exploit that allows you to access passwords inside the Keychain without a user prompt. The vulnerability has been assigned CVE-2019-8526 number. KeySteal consists of two parts:

LinusHenze/Keysteal: A macOS <= 10.14.3 Keychain exploit – GitHub

KeyStealのタイムライン

• 2019年02月04日
  ▶ Linus Henzeさんが「KeySteal」のPoCを公開。Appleに対しiOSの”Bug Bounty Program”を拡大し、macOSの脆弱性にも報奨金を払うように要求。
• 2019年02月07日
  ▶ KeyStealのPoCが実証され、AppleのProduct Security TeamがLinus Henzeさんコンタクトを取るも、Linusさんは公開を拒否。
• 2019年03月01日
  ▶ KeySteal騒動がニュースになり、Linusさんはこの脆弱性の詳細とパッチを無償でAppleに送ったと発表。
• 2019年03月26日
  ▶ AppleがKeySteal脆弱性(CVE-2019-8526)を修正した「macOS Mojave 10.14.4」をリリース。
• 2019年06月01日
  ▶ KeyStealをGitHubで公開。

• LinusHenze/Keysteal: A macOS <= 10.14.3 Keychain exploit – GitHub